Parere del Garante n. 460 del 28/09/2023

Schema di decreto ministeriale sulle infrastrutture digitali per le intercettazioni

Il Garante per la protezione dei dati personali esprime parere favorevole sullo schema di decreto del Ministro della giustizia relativo alle infrastrutture digitali interdistrettuali per le intercettazioni, adottato ai sensi dell’articolo 2, comma 2, del decreto-legge n. 105 del 2023. Il parere è reso nel quadro dell’articolo 36, paragrafo 4, GDPR, dell’articolo 154, comma 5, del Codice privacy e dell’articolo 24, comma 2, del d.lgs. n. 51/2018.

Contesto normativo e finalità dell’intervento

Lo schema si inserisce nel percorso di centralizzazione e razionalizzazione tecnica e organizzativa dei sistemi di intercettazione, già auspicato dal Garante in precedenti interlocuzioni istituzionali. La norma primaria mira ad assicurare livelli elevati e uniformi di sicurezza, aggiornamento tecnologico, efficienza, economicità e risparmio energetico dei sistemi informativi funzionali alle attività di intercettazione.

Il decreto in esame costituisce uno dei passaggi attuativi previsti dal d.l. n. 105/2023, che disciplina in modo graduale la realizzazione delle infrastrutture digitali e rimette a successivi decreti la definizione di profili tecnici specifici, con acquisizione del parere del Garante.

Oggetto dello schema e contenuto essenziale

Il provvedimento individua le infrastrutture digitali interdistrettuali e ne definisce i requisiti tecnici essenziali per garantire la migliore capacità tecnologica, il più elevato livello di sicurezza e l’interoperabilità dei sistemi. In particolare:

• l’articolo 1 introduce definizioni rilevanti, tra cui quella di "dato", riferita al contenuto delle intercettazioni, ai verbali e a ogni altra informazione digitale connessa;
• la nozione di infrastrutture digitali interdistrettuali comprende hardware, software e sistemi di comunicazione per registrazione, memorizzazione, conservazione, accessibilità e interoperabilità;
• l’articolo 2 colloca le infrastrutture nei data center del Ministero della giustizia di Milano, Napoli, Roma e Palermo.

Garanzie tecniche e organizzative previste

Lo schema richiede che l’archivio digitale assicuri autenticità, integrità, sicurezza, riservatezza e accessibilità dei dati, da intendersi in favore dei soli soggetti legittimati.

Sono inoltre previste misure tecniche di protezione particolarmente stringenti:

• cifratura dei dati;
• memorizzazione in aree logiche distinte e segregate per ciascun ufficio;
• accesso limitato ai soli soggetti legittimati;
• trasmissione dei dati dalla procura mediante file e canale di comunicazione cifrati;
• frammentazione dei file in blocchi distinti, cifrati singolarmente e distribuiti nei diversi apparati dei data center, per garantire sicurezza e resilienza.

L’articolo 4 disciplina il transito, la fruizione, l’eventuale copia temporanea e la consultazione telematica dei dati nell’archivio digitale, secondo la disciplina processuale.

Ruoli, responsabilità e titolarità del trattamento

Il Garante sottolinea che il quadro normativo conserva in capo al Procuratore dell’ufficio che ha disposto le intercettazioni la piena autonomia nelle funzioni di direzione, organizzazione e sorveglianza sulle attività di intercettazione e sui relativi dati, compresi accessi e operazioni effettuate sui dati medesimi.

Resta invariata anche la titolarità del trattamento, che permane in capo all’ufficio giudiziario procedente. Il Ministero della giustizia ha un ruolo meramente infrastrutturale: deve assicurare allestimento e manutenzione delle infrastrutture, nel rispetto delle funzioni del Procuratore, senza accesso ai dati in chiaro e nel rispetto del segreto investigativo, della riservatezza e della sicurezza dei dati.

Valutazione del Garante

Il Garante osserva che il testo recepisce le indicazioni fornite nell’istruttoria preliminare, soprattutto per quanto riguarda:

• il rinvio a successivi provvedimenti per definire nel dettaglio le misure tecniche e organizzative idonee a garantire autenticità, integrità e riservatezza dei dati;
• la definizione del massimo livello di sicurezza e riservatezza nel collegamento telematico tra infrastrutture interdistrettuali e luoghi di ascolto presso le procure;
• le caratteristiche del canale di comunicazione per la trasmissione dei file contenenti i dati delle conversazioni, che saranno ulteriormente disciplinate con il successivo decreto attuativo.

Il provvedimento non presenta particolari criticità sotto il profilo della protezione dei dati e si colloca correttamente nel perimetro dell’intervento normativo previsto dalla legge delegante/attributiva.

Raccomandazione sui successivi decreti attuativi

Pur esprimendo parere favorevole, il Garante raccomanda che, nell’ambito del procedimento di adozione dei successivi decreti previsti dall’articolo 2, comma 9, del d.l. n. 105/2023, sia trasmesso unitamente ai testi anche il documento di valutazione d’impatto sulla protezione dei dati di cui all’articolo 23 del d.lgs. n. 51/2018, in ragione della rilevanza del trattamento considerato.

Conclusione

Il Garante, ai sensi dell’articolo 24, comma 2, del d.lgs. n. 51/2018, esprime parere favorevole sullo schema di decreto ministeriale relativo alle infrastrutture digitali per le intercettazioni, ritenendolo coerente con il quadro normativo e con le esigenze di sicurezza e protezione dei dati personali.